GRCreal // expediente: academia curso: ISO 42001 Lead Auditor
CLÁUSULA 4 · CONTEXTO · ALCANCE · ROLES IA
Módulo 2

Contexto y Alcance del SGIA

Sin un contexto bien definido,
el SGIA se construye sobre una base incorrecta.

MÓDULO 02 / 10ISO 42001 · Lead Auditor IA
FOCOContexto y Alcance del SGIA

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 4.1
Auditoría del contexto de la organización
La organización debe determinar las cuestiones externas e internas que son relevantes para su propósito y que afectan su capacidad para lograr los resultados previstos del SGIA.
“El contexto mal definido es la causa raíz de la mayoría de las no conformidades estructurales.”
ISO 42001:2023 - Enfoque auditor
🌍Contexto externoRequisitos legales y regulatorios (ej: EU AI Act), incentivos, factores sociales y éticos, panorama competitivo, cambios tecnológicos.
🏢Contexto internoValores, cultura y ética organizacional; políticas y estrategias; capacidades y recursos de la organización.
Cláusula 4.1 (cont.)
Roles en el ecosistema de IA
ISO 42001 introduce roles específicos que la organización debe determinar. El auditor debe verificar que estos roles están identificados y que las responsabilidades están asignadas.
🏭Proveedor de IAOrganización que desarrolla o proporciona sistemas de IA a terceros. Si es tu caso, debes auditar controles de ciclo de vida.
📦Productor de IAOrganización que integra IA en sus propios productos o servicios. Responsable de la seguridad del producto final.
👥Cliente de IAOrganización que adquiere o utiliza sistemas de IA desarrollados por terceros. Debe auditar la gestión de proveedores.
👤Sujeto de IAPersona o grupo cuyos datos o decisiones son afectados por un sistema de IA. Sus derechos deben ser considerados en la evaluación de impacto.
⚖️Autoridad de IAEntidad que supervisa o regula sistemas de IA (ej: regulador, comité ético interno). Si existe, auditar su independencia.
Cláusula 4.2
Partes interesadas y sus requisitos
La organización debe determinar las partes interesadas relevantes para el SGIA y los requisitos de estas que deben abordarse.
📋Quiénes sonClientes, usuarios finales, reguladores, empleados, proveedores de IA, accionistas, grupos de interés social.}
Caso típico de no conformidad: La organización lista partes interesadas pero no demuestra que sus requisitos se hayan traducido en acciones del SGIA. Ejemplo: "El regulador exige trazabilidad de decisiones" pero no hay ningún control implementado para ello.
📝Qué auditar¿Están identificadas? ¿Se han documentado sus requisitos? ¿Los requisitos aplicables se han incorporado al SGIA (política, objetivos, riesgos, controles)?} <
Cláusula 4.3
Determinación del alcance del SGIA
El alcance define los límites y la aplicabilidad del SGIA. Debe estar disponible como información documentada y ser coherente con el contexto y las partes interesadas.
“Un alcance ambiguo impide un muestreo efectivo y permite 'evadir' requisitos críticos.”
Error típico en SGIA mal definidos
✅Alcance bien definidoIncluye: procesos, unidades organizativas, ubicaciones, sistemas de IA específicos, interfaces con terceros, exclusiones justificadas.}
❌Alcance problemático"Demasiado amplio" (sin recursos para auditar) o "demasiado estrecho" (excluye sistemas críticos sin justificación).
Preguntas clave del auditor: - ¿El alcance identifica qué sistemas de IA están incluidos? - ¿Las exclusiones están justificadas por riesgo o contexto? - ¿El alcance es verificable (puedo demostrar que un sistema está fuera o dentro)?
Caso auditor
Contexto y alcance deficiente
Escenario: Una fintech usa IA para scoring crediticio automatizado. En auditoría del SGIA se detecta: - El análisis de contexto no considera la regulación financiera vigente (EU AI Act - alto riesgo). - No identifica a los reguladores ni a los clientes como partes interesadas relevantes. - El alcance excluye el sistema crítico de scoring alegando que es "SaaS externo".
“Excluir un sistema crítico por ser 'externo' no elimina la responsabilidad organizacional.”
Respuesta del auditor
Hallazgo sugerido: No conformidad contra Cláusula 4.3 (Alcance) por exclusión injustificada. Causa raíz relacionada con 4.1 (Contexto) y 4.2 (Partes interesadas).
Resumen del módulo
Lo que debes llevarte de aquí
1El contexto (4.1) incluye factores externos (regulación, tecnología) e internos (cultura, recursos).}
2ISO 42001 introduce roles específicos: proveedor, productor, cliente, sujeto, autoridad de IA.
3Las partes interesadas (4.2) deben identificarse y sus requisitos deben traducirse al SGIA.}
4El alcance (4.3) debe ser claro, justificado y verificable. Exclusiones sin justificación = no conformidad.}
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de auditoría del sistema de gestión de IA, riesgos, impactos, ciclo de vida y supervisión. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Contexto y Alcance del SGIA», comienza delimitando límites, interfaces, exclusiones y dependencias que condicionan el sistema de gestión. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, Dirección, responsables de IA, Datos, Producto, Riesgos, Legal y Seguridad. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance del AIMS e inventario de sistemas de IA
  • riesgos e impactos evaluados
  • roles, responsabilidades y criterios de uso
  • documentación del ciclo de vida, pruebas y cambios
  • monitorización, incidentes, revisión y mejora
CASO DE REVISIÓN

Aplicación de «Contexto y Alcance del SGIA»

Escenario: un sistema de IA cambia de modelo y datos, pero la organización mantiene la evaluación y documentación de la versión anterior. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta límites, interfaces, exclusiones y dependencias que condicionan el sistema de gestión.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • auditar solo el modelo y olvidar el sistema completo
  • tratar la evaluación de impacto como documento único
  • ignorar cambios de versión, datos o finalidad
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Contexto y Alcance del SGIA»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Contexto y Alcance del SGIA

El alcance del AIMS excluye una unidad que consume las salidas del modelo para tomar decisiones comerciales.

CONTEXTO TÉCNICO

Modelo central, API, consumidores y workflows.

DECISIÓN

  • Revisar interfaces, efectos y dependencias.
  • Asignar responsable y fecha de revisión.
  • Definir prueba de eficacia.

EVIDENCIA

  • Mapa de uso, roles, procesos y límites.
  • Corroborar con una segunda fuente.
  • Conservar periodo, población y propietario.

ERROR A EVITAR

  • Definir alcance por equipo técnico.
  • Aceptar afirmaciones sin prueba.
  • Cerrar acciones sin verificación.
MINI EJERCICIO RESUELTO

¿Qué hace insuficiente la exclusión?

Respuesta orientativa: La unidad participa en decisiones soportadas por IA.

¿QUÉ CAMBIARÍA SI…?

la unidad solo visualiza resultados agregados?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Una unidad dice que «esto no nos aplica». ¿Qué comprobarías antes de aceptar esa afirmación?

Identifica entidad, actividad, sistema, rol y criterio que cambia el alcance.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Auditoría del contexto de la organización

  2. 02

    Roles en el ecosistema de IA

  3. 03

    Partes interesadas y sus requisitos

El siguiente paso es auditar
el liderazgo y la política de IA
Siguiente módulo: Liderazgo y Política de IA (Cláusula 5)
← Anterior Continuar →